- 综合排序
- 最热优先
- 最新优先
- 来自专栏c++ 学习分享
JavaScript变量污染
JavaScript变量污染 定义全局变量有 3 种方式： 在任何函数体外直接使用 var 语句声明。var f = 'value1'; 直接添加属性到全局对象上。 f = 'value'; 全局变量在全局作用域内都是可见的，因此具有污染性。大量使用全局变量会降低程序的可靠性，用户应该避免使用全局变量。
47120编辑于 2023-07-07 - 来自专栏cultureSun学安全
js原型链污染
js原型链 前两天，做了一道CTF题目，遇到了js原型链污染。 js原型，我的理解，类似于java中的静态属性。 原型链污染 通过修改或者添加其原型链上的原型对象，使其当前对象可以访问到错误或者不具备的属性。 res.json({ msg: 'user created successfully', err: false }) }) JSON.parse()配合Object.assign()可以触发原型链污染 INVITE_CODE) { user.isAdmin = false } let newUser = Object.assign({}, baseUser, user) //触发原型链污染 所以造成了原型链污染。
60310编辑于 2023-12-22 - 来自专栏hotarugaliの技术分享
DNS污染和DNS劫持
DNS 污染 DNS 污染又称 DNS 缓存投毒，通过制造一些虚假的域名服务器数据包，将域名指向不正确的 IP 地址。 image.png 不过由于缓存过期时间的限制，污染的域名不是一成不变的，若某个污染过的域名缓存记录过了缓存过期时间后没有对其进行再污染，则该域名的污染就会消失。 解决办法 绕过被污染的非权威 DNS 服务器，直接访问干净的公共 DNS 服务器。 在本机直接绑定 hosts，绕过 DNS 解析过程。
16.2K21编辑于 2022-02-28 - 来自专栏LoRexxar's Blog
pwnhub 被污染的Jade
首先打开题目是比较简单粗暴的模板渲染，再结合题目不难发现题目是node+jade 因为我打开题目已经是下午了，所以基本上打开题目就一直都是报错，大概长这样： 基本也没什么好猜了，直接能看出来就是js原型链污染 ://www.leavesongs.com/PENETRATION/javascript-prototype-pollution-attack.html 顺着这样的思路就可以翻翻看jade的代码看看 污染 jade 在之前文章中提到，我们可以通过污染object来影响js中没有设置的变量属性，首先我们就需要找一个没有被设置过但是却很重要的变量，形似与： if(x.xxxxx){ x.xxxxx } 这里是我的第一个思路，通过控制self，然后污染globals，globals会在addwith中直接被拼接进代码中。 不难发现出题人强行写了一个merge，把req.body和{}合并导致了原型链污染，所以传递的对象不能是name，这也是坑了我开始的一大个问题。
98120编辑于 2023-02-21 深入JavaScript原型链污染
原型链污染 既然我们可以通过 foo.__proto__ 访问到 Foo.prototype ，同时，修改 Foo.prototype 就会影响到 foo. 原型链污染举例 哪些情况下我们可以设置 __proto__ 的值呢？
53510编辑于 2024-02-04- 来自专栏云原生实验室
使用 CoreDNS 来应对 DNS 污染
CoreDNS 是新晋的 CNCF 孵化项目，前几天已经从 CNCF 正式毕业，并正式成为 Kubernetes 的 DNS 服务器。CoreDNS 的目标是成为 cloud-native 环境下的 DNS 服务器和服务发现解决方案，即：
6.7K20发布于 2019-08-29 - 来自专栏信安之路
利用 AicLaunchAdminProcess 参数污染 bypass UAC
AicLaunchAdminProcess 参数污染 先介绍第三十八种方法，该方法利用 mmc.exe 执行自定义的 msc 文件从而在本地或者远程执行任意代码（仅适用于 64 位系统）。
1.9K10发布于 2019-01-23 - 来自专栏数据科学和人工智能
数据集 | 印度污染数据集
下载数据集请登录爱数科(www.idatascience.cn) 数据集包含印度各州的污染数据。 1. 字段描述 2. 数据预览 3. 字段诊断信息 4. 数据来源 来源于Kaggle。
1.3K20编辑于 2022-03-30 - 来自专栏离别歌 - 信息安全与代码审计
深入理解 JavaScript Prototype 污染攻击
所以，除了传统的SQL注入、代码执行等注入型漏洞外，也会有一些独有的安全问题，比如今天要说这个prototype污染。 0x01 prototype和__proto__分别是什么？ 这种攻击方式就是原型链污染。 0x04 哪些情况下原型链会被污染？ 在实际应用中，哪些情况下可能存在原型链能被攻击者修改的情况呢？ 我们思考一下，哪些情况下我们可以设置__proto__的值呢？ 而这里的lodash.merge操作实际上就存在原型链污染漏洞。 在污染原型链后，我们相当于可以给Object对象插入任意属性，这个插入的属性反应在最后的lodash.template中。 但因为原型链污染，我们可以给所有Object对象中都插入一个sourceURL属性。最后，这个sourceURL被拼接进new Function的第二个参数中，造成任意代码执行漏洞。 整个案例我觉得是一个非常经典的原型链污染漏洞教程，代码不多，逻辑不复杂，没有刻意创造漏洞，真正触发漏洞的代码在库中。 我一直觉得，出题不要刻意创造漏洞，而是找找你的知识点是否能在真实环境下找到应用。
61320编辑于 2023-10-28 - 来自专栏网站监控
DNS污染可用网站监控检测修复
而且在网站维护的同时都可以使用iis7网站监控来第一时间检查是否被dns污染以及劫持等安全性的问题，并且可以检测快照有没有问题。
5K30发布于 2019-08-13 如何解决DNS污染问题
解决DNS污染问题的常见方法包括：1. **使用加密的DNS协议**： - **DNS over HTTPS (DoH)**：通过HTTPS协议加密DNS查询，防止中间人攻击和篡改。 **使用VPN服务**： - 虚拟专用网络（VPN）可以将所有网络流量，包括DNS查询，通过加密隧道传输，从而避免DNS污染。选择信誉良好的VPN服务商，确保隐私和安全。3. **DNSCrypt**： - DNSCrypt是一个用于加密DNS流量的协议，能够有效防止DNS污染。通过安装DNSCrypt客户端，可以确保DNS查询的安全性和完整性。7. **使用代理服务器**： - 通过代理服务器（例如SOCKS5、HTTP Proxy）中转DNS查询，隐藏实际DNS请求源，规避DNS污染。9. **利用Tor网络**： - Tor网络通过多层加密传输数据，能够隐藏DNS查询路径，有效规避DNS污染，但访问速度可能较慢。
2.5K10编辑于 2024-07-07- 来自专栏用户3355187的专栏
域名污染是什么玩意？怎么解决？
首先什么叫做域名污染，有很多同学并不知道域名污染是什么回事。 下面教叫你如何看~ 怎么验证是否遭遇DNS污染？ 咱们拿域名www.vipba.cc 测试！ 域名遭遇DNS污染怎么解决？ 1.更换DNS解析服务器。 一般来说，域名注册商家都是提供免费的DNS解析服务的，以我所实用的Godaddy为例，就提供了许多免费的DNS解析服务，而且解析速度很快，比之前实用的什么万网之流要快得多，不可能全部被污染，所以更换两个 注意事项二：Godaddy目前本身域名就被DNS污染了，即使挂V**也访问不了，只有更改自己电脑的DNS（比如改成google的8.8.8.8）才能访问。
10.1K00发布于 2019-07-06 - 来自专栏linux教程
预防DNS污染的措施有哪些？
下面亚洲云就来和大家分享关于不需要代理服务器/VPN等软件就可以解决DNS污染的方法，让大家对DNS污染有更多认识，以及知道如何去应对DNS污染。 DNS污染的数据包不存在在网络数据包传输经过的路由器上，而存在于旁路中，DNS污染不会阻止正确的DNS解析结果的返回，但旁路中DNS污染的数据包发回的速度回更快，导致了操作系统误以为收到的第一个数据包就是正确的返回结果 有一些国家的DNS污染情况，是在一时间内污染IP固定，忽略返回结果中的IP数据包，这样就可以解决DNS污染问题。 如何验证DNS污染？ 即可证明这个域名已经被DNS污染了。 DNS污染解决方案 1、通过多种SSH加密代理，在加密代理里进行远程DNS解析，或者使用VPN上网。 可以在hosts添加受到污染的DNS地址来解决DNS污染和DNS劫持。 3、在软件编程处理后，可以直接忽略返回结果是虚假IP地址的数据包，这样就可以解决DNS污染。
2.1K20编辑于 2023-04-26 - 来自专栏腾讯数据中心
警惕数据中心内部污染
近年来，PM2.5、雾霾等环境污染话题热度不减，当我们聚焦于数据中心，你是否清楚数据中心内的污染控制标准？什么仪器可以测试数据中心内的气体污染等级？如何净化数据中心内部环境？ 3温湿度影响 温度过高：会导致服务器宕机，加速粉尘及污染气体对电子元件的腐蚀 温度过低：会增加空调设备能耗。 湿度过高：加速粉尘及污染气体对电子元件的腐蚀。 湿度过低：会引起静电效应。 数据中心气体污染标准 数据中心的气体污染主要是空气中的含硫气体，对电子元器件的腐蚀。 6定期对数据中心进行铜银挂片测试 建议每半年在数据中心内做铜银挂片测试，根据测试结果（腐蚀等级）判断数据中心气体污染程度，判断污染来源并做下一步改善。 设置了两台在线检测设备实时检测数据中心气体污染。 总结： 数据中心运营，我们往往关注数据中心内的温湿度，而忽略了数据中心的洁净度和气体污染。
4K70发布于 2018-03-16 - 来自专栏仲儿的专栏
Unbound + Dnscrypt 搭建无污染 DNS 服务
前言 鉴于某些原因，我们日常生活中使用的公共 DNS 总是会存在一些奇奇怪怪的DNS解析，例如某些国内云平台大型网站无法正常解析 DNS ，因此搭建无污染 DNS 服务成为了一项值得尝试、有意义的事情 powerdns 等，它们也在很多大型的 ISP 提供商的 DNS 产品上得到了很多的实践，但是就我们个人而言，如果需要搭建一个小范围、公共的DNS服务，那么 unbound 是足够的，并且对于我们实现无污染有非常好的基础 可以看出，前者不是后者是，那么就无污染 DNS 就搭建完成了。 （采用 CC BY-NC-SA 4.0 许可协议进行授权） 本文标题：《 Unbound + Dnscrypt 搭建无污染 DNS 服务 》 本文链接：https://lisz.me/tech/linux
2.9K10编辑于 2022-10-28 - 来自专栏FreeBuf
看我如何通过参数污染绕过IDOR
在一次渗透测试过程中，我偶然间发现了一个有趣的IDOR（不安全的直接对象引用）漏洞，通过使用参数污染技术（利用一个被忽略的测试用例），攻击者将能够成功地在目标站点上实现IDOR绕过。 接下来，我将跟大家介绍如何使用参数污染技术来实现IDOR绕过。 此时，为了实现IDOR绕过，我们需要使用参数污染技术，即传递两个UserID参数，其中一个包含目标账号的UserID，另一个参数需要包含你账号的UserID。 下图显示的是我们所发送的样本请求： ? 考虑到参数污染技术的实现，我尝试在测试样例（请求）中添加了我自己的UserID参数以及目标用户的UserID，并以此来尝试访问目标用户的个人资料。 想必大家也猜到了，这一次我成功了！ 下图显示的是我们利用参数污染技术构建的IDOR绕过请求： ? 没错，通过结合参数污染技术构造出来的恶意请求，我成功拿到了目标用户的全名以及很多不会公开的敏感信息。
84700发布于 2019-11-13 - 来自专栏网络安全技术点滴分享
Kibana原型污染漏洞检测工具
Kibana原型污染漏洞检测工具项目标题与描述CVE-2025-25014 Kibana漏洞检测器这是一个专门用于检测CVE-2025-25014漏洞的Python工具。 该漏洞是Kibana中的一个严重原型污染漏洞，可导致远程代码执行（RCE），影响Kibana 8.3.0至8.17.5版本，以及8.18.0和9.0.0版本。 功能特性漏洞检测：通过向Kibana的__proto__端点发送PUT请求检测原型污染漏洞身份认证支持：支持使用Basic认证进行身份验证代理支持：可通过代理服务器进行漏洞检测详细输出：提供彩色终端输出 在安全审计过程中快速扫描Kibana实例漏洞验证：验证已修复的系统是否真正安全渗透测试：在授权测试中验证漏洞存在性安全监控：定期检查生产环境中的Kibana实例漏洞背景信息CVE-2025-25014是一个严重的原型污染漏洞
13210编辑于 2026-01-05 - 来自专栏Go工具箱
Go常见错误集锦之接口污染
接口污染就是用不必要的抽象来淹没我们的代码，使其更难理解和演化。如果研发者按照别的语言的习惯来使用Go中的接口的话，那么是非常容易出错的。在深入研究该主题之前，先回顾一下Go中的接口。
54220编辑于 2023-01-31 - 来自专栏谢公子学安全
CobaltStrike的argue参数污染绕AV
但是目标主机有AV，执行敏感命令会直接报毒等，这时我们可以使用Cobaltstrike自带的argue参数污染来执行敏感操作。 使用argue参数污染创建新用户并加入管理员组中 使用前提：administrator 或 system权限。 执行创建新用户命令，360报毒 使用argus参数污染 net1 #参数污染net1 argue net1 xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx #查看污染的参数 argue 用污染的 net1 创建用户，发现创建成功，360也不报毒 #用污染的net1执行敏感操作 execute net1 user test root123 /add execute
1.3K20编辑于 2022-01-20 - 来自专栏全栈程序员必看
有效避免JS全局变量污染
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/142015.html原文链接：https://javaforall.cn
2.8K20编辑于 2022-08-25
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号